Internetausfall in Nordkorea trifft 42 Websites und E-Mail-Dienste

Websites des Staates sind nach flächendeckendem Ausfall nur eingeschränkt erreichbar

Die wichtigsten Nachrichtenseiten Nordkoreas, Seiten des Außenministeriums und ein E-Mail-Server hatten wiederholt Verbindungsprobleme, nachdem am 20. Oktober 2026 gegen 11 Uhr koreanischer Zeit eine Störung begonnen hatte. Am Nachmittag des 21. Oktober waren 42 Websites mit der Länder-Domain .kp nicht erreichbar oder instabil. Menschen im Ausland hatten dadurch Schwierigkeiten, an offizielle Informationen zu gelangen.

Der Überwachungsdienst Pingdom verzeichnete die Website der Koreanischen Zentralen Nachrichtenagentur für 19 der ersten 24 Stunden nach Beginn der Störung als nicht erreichbar. Das entspricht etwa 79 Prozent des Zeitraums. Andere Websites waren noch kürzer zugänglich: Am Morgen des 21. Oktober wurde eine Verfügbarkeit von etwa zehn Minuten registriert.

Die Störung betraf nahezu gleichzeitig Organisationen mit unterschiedlichen Aufgaben. Neben der Koreanischen Zentralen Nachrichtenagentur, kurz KCNA, waren die Zeitungen Rodong Sinmun und Minju Joson, der internationale Sender Voice of Korea, das Informationsportal Naenara und die staatliche Fluggesellschaft Air Koryo betroffen. Auch das DPRK-Portal, das offizielle nordkoreanische Websites auflistet, war nicht mehr erreichbar.

Der SMTP-E-Mail-Server von Nordkoreas Silibank reagierte etwa zur selben Zeit nicht mehr. SMTP ist das System, mit dem Server E-Mails untereinander weiterleiten. Durch den Ausfall war nicht nur das Lesen von Nachrichten oder der Zugriff auf Regierungsseiten beeinträchtigt, sondern auch ein Dienst für die elektronische Korrespondenz.

Das breite Ausmaß der Störung lenkt den Blick auf die Infrastruktur, die diese Dienste gemeinsam nutzen, darunter internationale Verbindungen, Geräte und Systeme, die Browser zu Website-Adressen leiten. Auf kurze Phasen wiederhergestellter Erreichbarkeit folgten weitere Ausfälle. Die Wiederherstellung verlief daher ungleichmäßig und nicht als einmalige Rückkehr zum Normalbetrieb.

Der Verlauf der Störung

Südkoreas Vereinigungsministerium wurde in Berichten zitiert, denen zufolge es am 20. Oktober zunächst zu einer etwa achtstündigen Unterbrechung kam. Gegen 20 Uhr schien sich die Lage dann zu erholen. Diese ungefähren Angaben lassen den genauen Zeitpunkt der ersten Wiederherstellung offen. Gegen 23 Uhr fielen die Verbindungen erneut aus, und die Probleme dauerten am folgenden Tag an.

Der wesentliche Ablauf in koreanischer Zeit:

• 19. Oktober: Nordkoreanische Staatsmedien berichteten, Kim Jong Un habe mit seiner Frau Ri Sol Ju und seiner Tochter Ju Ae eine Bekleidungs- und Schuhmesse in Pjöngjang besucht.
• 20. Oktober, gegen 11 Uhr: Mehrere offizielle Websites und der E-Mail-Server von Silibank waren ungefähr gleichzeitig nicht mehr erreichbar.
• 20. Oktober, gegen 20 Uhr: Nach einer zunächst als etwa achtstündig beschriebenen Unterbrechung schienen sich wichtige Websites kurzzeitig wieder zu erholen.
• 20. Oktober, gegen 23 Uhr: Die Verbindungsprobleme kehrten zurück.
• 21. Oktober, morgens: Andere betroffene Websites waren laut Aufzeichnungen nur etwa zehn Minuten erreichbar; der E-Mail-Server war rund fünf Minuten zugänglich.
• 21. Oktober, nachmittags: Die weitreichenden Ausfälle hielten trotz zeitweiliger Erreichbarkeit ab etwa 11.30 Uhr an.

Einige Verbindungen brachen alle ein bis zwei Minuten ab, selbst wenn Seiten zunächst aufgerufen werden konnten. Zugriffsprobleme wurden aus Südkorea und den Vereinigten Staaten gemeldet. Die Störung beschränkte sich damit nicht auf die Verbindung eines einzelnen Landes nach Nordkorea.

Am 22. Oktober hieß es, die Störung gehe in ihren dritten Kalendertag. Die detailliertesten Messungen betrafen den 20. und 21. Oktober; am 21. Oktober hielten die Ausfälle demnach bis 13 Uhr an. Kurze Phasen der Erreichbarkeit boten Nutzern in diesem Zeitraum nur begrenzte Möglichkeiten, Informationen abzurufen.

Adressserver liefern einen technischen Hinweis

Südkoreanische Sicherheitsunternehmen untersuchten öffentliche Routing-Informationen und das Domain Name System, kurz DNS, um die wiederholten Ausfälle nachzuverfolgen. Routing-Informationen beschreiben die Wege, die Internetdaten zwischen Netzwerken nehmen können. DNS übersetzt einen Website-Namen in die numerische Internetadresse, die ein Computer benötigt, um die Website aufzurufen.

Ihre Analyse ergab, dass die für die übergeordnete Domain .kp zuständigen Server antworteten, während die nachgeordneten Namensserver für einzelne Website-Adressen nicht funktionierten. Vereinfacht gesagt konnte der erste Teil der Adressabfrage funktionieren, während ein späterer Schritt zur Ermittlung einer bestimmten Website scheiterte.

Eine Seite kann daher für Besucher nicht erreichbar sein, obwohl ein Teil des übergeordneten Adresssystems weiterhin funktioniert. Ein Ausfall von Infrastruktur, die viele Websites gemeinsam nutzen, kann dazu führen, dass verschiedene Organisationen gleichzeitig nicht mehr erreichbar sind.

Die Kombination aus DNS-Problemen, wiederholten Verbindungsabbrüchen und einem betroffenen E-Mail-Server rückt die gemeinsam genutzte Infrastruktur ins Zentrum der Untersuchungen. Die konkrete Folge für Nutzer war einfach: Die richtige Website-Adresse zu kennen, reichte oft nicht aus, um den Dienst zu erreichen.

China und Russland stellen Verbindungen nach außen bereit

Nordkoreas externe Internetverbindungen stützen sich seit Langem auf eine begrenzte Zahl von Routen. Das Ryugyong-dong-Netzwerk nutzt Verbindungen des chinesischen Unternehmens China Unicom sowie Internetadressen, die mit Cenbong verbunden sind, einem in Hongkong ansässigen Netzbetreiber.

Seit 2017 dient Russlands TransTeleCom als alternativer Internetanbieter. Seit 2023 läuft der über China und Russland bereitgestellte Datenverkehr zudem über ein ergänzendes Netzwerk auf den Philippinen, das das Ryugyong-dong-Netzwerk unterstützt.

Alternative Routen bieten dem Datenverkehr mehr als einen möglichen Weg. Wie nützlich sie sind, hängt jedoch von den Geräten und Diensten entlang dieser Wege ab. Auch bei mehreren Routen können eine gemeinsame Komponente, die Stromversorgung oder ein Adressserver nötig sein, bevor Nutzer eine Website erreichen.

Dass die Störung trotz dieser Alternativen lange anhielt, macht den Ort des Ausfalls besonders relevant. Ein Problem in einem gemeinsam genutzten Teil des Systems könnte gleichzeitig Websites von Zeitungen, einem Ministerium und einer Fluggesellschaft betreffen. Das beobachtete Muster lenkt den Blick auf das Ryugyong-dong-Netzwerk und die Infrastruktur, die es mit ausländischen Anbietern verbindet.

Stromausfälle, Wartungsarbeiten und Angriffe als mögliche Ursachen

Die nordkoreanischen Behörden hatten weder eine Erklärung für den Ausfall noch einen Zeitplan für die vollständige Wiederherstellung veröffentlicht. Die Ursache blieb ungeklärt. Als Möglichkeiten galten eine fehlerhafte Verbindung, Probleme mit Geräten, eine instabile Stromversorgung, Wartungsarbeiten oder ein Angriff von außen. Niemand hatte öffentlich die Verantwortung für einen Angriff übernommen, und südkoreanische Behörden erklärten, ihnen lägen keine Informationen vor, die einen Cyberangriff bestätigten.

Park Chan-am, Vorstandschef des südkoreanischen Cybersicherheitsunternehmens Stealien, nannte die Stromversorgung als mögliche Erklärung für die wiederholten Ausfälle und Wiederherstellungen. Instabile Stromversorgung könne dazu führen, dass Router an der Grenze oder Vermittlungsgeräte zeitweise aus- und wieder eingeschaltet würden, sagte er.

Router leiten Daten zwischen Netzwerken weiter, während Vermittlungsgeräte sie zwischen verbundenen Geräten übertragen. Fällt bei solchen Geräten der Strom aus, können viele Dienste gleichzeitig unerreichbar werden. Sobald die Stromversorgung wiederhergestellt ist, können die Verbindungen kurzzeitig funktionieren, bevor es zu einem erneuten Ausfall kommt.

Park sagte auch, ein Ausfall im Juni des Vorjahres sei als internes Problem und nicht als Angriff von außen bewertet worden. Seine Erklärung für das aktuelle Muster konzentriert sich auf den Betrieb der Geräte und die für deren Betrieb nötige Stromversorgung.

Auch Wartungsarbeiten kommen als Möglichkeit infrage, insbesondere Arbeiten am über China eingehenden Datenverkehr. Nordkorea hat Websites bereits früher über längere Zeit nicht erreichbar gelassen, während es seine Online-Präsenz neu ordnete. Die Dauer dieser Unterbrechung war jedoch länger, als bei routinemäßigen Wartungsarbeiten üblicherweise zu erwarten wäre.

Warum ein Anstieg des Datenverkehrs nicht dasselbe ist wie ein DDoS-Angriff

Ein plötzlicher Anstieg echter Besucher kann eine Website überlasten. Bei einem Distributed-Denial-of-Service-Angriff, kurz DDoS, wird ein Server oder eine Verbindung gezielt mit Datenverkehr aus vielen Quellen überflutet, damit normale Nutzer nicht mehr durchkommen. Beides kann zu langsamen Seiten, fehlgeschlagenen Verbindungen und zeitweiliger vollständiger Unerreichbarkeit führen.

Sicherheitsunternehmen hielten es für möglich, dass ein Angriff die Infrastruktur zur Verwaltung von Website-Adressen oder eine von mehreren Diensten gemeinsam genutzte Verbindung ins Visier genommen hatte. Ein Angriff auf dieser Ebene könnte gleichzeitig viele Websites betreffen und nicht nur eine einzelne Nachrichtenseite.

Das Interesse am Aufenthaltsort Kim Jong Uns führte auch zu Vermutungen, ungewöhnlich viele Menschen hätten versucht, nordkoreanische Nachrichtenseiten aufzurufen. Einige könnten nach Berichten oder Fotos von seinem Besuch der Messe gesucht haben.

Die betroffenen Dienste gingen jedoch weit über Nachrichtenangebote hinaus. Auch das Außenministerium, Air Koryo, Informationsportale und ein E-Mail-Server waren beeinträchtigt. Diese größere Reichweite lenkt den Blick stärker auf die Infrastruktur, die mehrere Dienste gemeinsam nutzen, als auf die Nachfrage nach einer bestimmten Nachricht.

Gerüchte verbreiten sich, während offizielle Seiten schwer erreichbar sind

Unbestätigte Behauptungen über den Tod Kim Jong Uns kursierten etwa zur Zeit des Ausfalls in ausländischen sozialen Medien. Dazu gehörte die Behauptung, er habe eine Hirnblutung erlitten und sei in ein Krankenhaus in Peking gebracht worden. Südkoreanischen Außen- und Sicherheitsbehörden zufolge lagen ihnen keine Informationen vor, die diese Behauptung stützten.

Nordkoreanische Staatsmedien veröffentlichten unterdessen Fotos und Berichte über Kims Besuch einer Bekleidungs- und Schuhmesse in Pjöngjang am 19. Oktober mit Ri Sol Ju und Ju Ae. Diese Berichte boten den Lesern eine konkrete Darstellung seiner öffentlichen Aktivitäten, während sich die Gerüchte im Internet verbreiteten.

Die KCNA verbreitete während der Ausfälle ihrer Website weiterhin Nachrichten über ihren Nachrichtendienst. So konnten offizielle Berichte über einen anderen Kanal ihre Empfänger erreichen, obwohl die öffentlichen Webseiten nicht zugänglich waren. Die anhaltende Übertragung machte einen gezielten Abschaltversuch, der sämtliche Veröffentlichungen nach außen unterbinden sollte, zudem weniger wahrscheinlich.

Für Leser im Ausland bestand die praktische Schwierigkeit darin, dass die üblichen Anlaufstellen für nordkoreanische Stellungnahmen häufig nicht erreichbar waren. Nachrichtenproduktion und Website-Zugriff liefen unterschiedlich: Material konnte weiterhin übertragen werden, während die öffentlichen Seiten, auf denen es zu lesen war, unerreichbar blieben.

Frühere Ausfälle zeigen verschiedene Ursachen für Störungen

Ende 2014 kam es in Nordkorea zu einer weiteren größeren Internetstörung. Sie folgte auf die Kontroverse um den Hackerangriff auf Sony Pictures und den Film The Interview, der ein Attentat auf Kim Jong Un darstellt. Ein ausführlicher Bericht beschreibt Websites, die während eines Angriffs, der nicht identifizierten Hackeraktivisten zugeschrieben wurde, etwa zehn Stunden lang nicht erreichbar waren. Weiter gefasste Darstellungen sprechen von einer Störung, die sich über mehrere Tage erstreckte.

Anfang 2022 verübte der amerikanische Hacker Alejandro Caceres, online bekannt als P4x, DDoS-Angriffe, die nordkoreanische Websites und E-Mail-Dienste störten. Diese Angriffe sind ein konkreter Präzedenzfall dafür, dass ein Akteur von außen nicht nur Webseiten beeinträchtigen kann.

Parks Darstellung des Ausfalls im darauffolgenden Juni deutet auf einen anderen Fehlermechanismus hin: interne Betriebsprobleme. Zusammengenommen zeigen diese Ereignisse, warum die Identifizierung der betroffenen Geräte, des Datenverkehrs und der Stromversorgung wichtig ist, um festzustellen, wie der Dienst unterbrochen wurde.

Die unmittelbaren Auswirkungen der Störung im Oktober konzentrierten sich auf Nordkoreas öffentliche Präsenz im Internet. Ausländische Leser verloren den zuverlässigen Zugang zu offiziellen Nachrichten, Regierungsinformationen und Seiten der Fluggesellschaft, während der E-Mail-Ausfall einen weiteren Kommunikationsweg beeinträchtigte. Die fortgesetzte Übertragung über den Nachrichtendienst hielt einen separaten Kanal für staatliche Berichte offen, doch der öffentliche Zugang blieb unbeständig.

Wichtige Punkte

• Die Störung begann am 20. Oktober 2026 gegen 11 Uhr koreanischer Zeit und betraf 42 Websites mit Nordkoreas Domain .kp.
• Pingdom verzeichnete die KCNA-Website in 19 der ersten 24 Stunden als nicht erreichbar, also während etwa 79 Prozent dieses Zeitraums.
• Auch der E-Mail-Server von Silibank fiel aus; am Morgen des 21. Oktober wurde eine Erreichbarkeit von nur etwa fünf Minuten registriert.
• Eine Sicherheitsanalyse ergab, dass die übergeordneten .kp-Server antworteten, während die Server für einzelne Website-Adressen ausfielen.
• Zu den möglichen Ursachen gehörten Verbindungs- oder Gerätefehler, Stromausfälle, Wartungsarbeiten und DDoS-Angriffe.
• Die KCNA übertrug weiterhin Nachrichten über ihren Nachrichtendienst, während die öffentlichen Websites nur schwer erreichbar waren.
• Nordkorea hatte keine offizielle Ursache und keinen Zeitplan für die vollständige Wiederherstellung bekannt gegeben.